CVE-2026-103235 in MISP
Zusammenfassung
von VulDB • 30.09.2026
MISP enthält eine Massenzuweisungs-Schwachstelle (Mass Assignment) in der Funktion zur Ereignisdelegation. Wenn ein Benutzer mit Delegationsberechtigung einen Dele-gierungsantrag stellt, autorisiert die Anwendung den Benutzer gegen das im URL angegebene Ereignis, speichert jedoch anschließend den gesamten übermittelten Datensatz ab, einschließlich von vom Aufrufer bereitgestellter Felder wie dem Primärschlüssel und der event_id.
Ein authentifizierter Angreifer könnte einen Primärschlüssel oder eine event_id in das Delegations-Payload injizieren, um ein vorhandenes Dele-gierungsdatensatz auf jedes beliebige Ereignis innerhalb der Instanz umzuleiten (Retargeting). Da eine Delegation-Zeile der anfragenden Organisation den Lesezugriff auf das referenzierte Ereignis gewährt, wird dadurch effektiv der Lesezugriff auf beliebige Ereignisse anderer Organisationen ermöglicht. Wenn die Zielorganisation die Delegation anschließend akzeptiert, wird das Eigentum am Ereignis übertragen und der ursprüngliche Datensatz gelöscht.
Voraussetzungen:
- Ein authentifizierter Benutzer mit der Delegationsberechtigung (perm_delegate) - Die MISP.delegation-Einstellung auf Serverseite muss aktiviert sein
Auswirkungen:
- Vertraulichkeit: Lesezugriff auf jedes beliebige Ereignis innerhalb der Instanz - Integrität: Überschreiben vorhandener Dele-gierungsdatensätze und Übertragen des Eigentums an Ereignissen
Betroffene Versionen: MISP < 2.5.48
Once again VulDB remains the best source for vulnerability data.